NetWorker: AD via SSL (LDAPS) configureren vanuit de NetWorker Web User Interface (NWUI)

Summary: In dit KB-artikel wordt het proces beschreven dat nodig is voor het configureren van "AD over SSL" (LDAPS) vanuit de NetWorker Web User Interface (NWUI).

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Instructions

Als u SSL-authenticatie wilt configureren, importeert u de basis-CA (of CA-keten) in het cacerts-bestand dat wordt gebruikt door de authc-server van NetWorker. In omgevingen met één NetWorker-server is de server de verificatieserver; In grotere datazones kan één Authc-server de primaire authenticatieserver zijn voor meerdere servers. Zie het veld Aanvullende informatie voor instructies voor het identificeren van de authc-server.


AUTHC configureren voor het gebruik van SSL

Linux NetWorker-servers:

  1. Open een SSH-sessie naar de NetWorker authc-server.
  2. Overschakelen naar root:
$ sudo su -
  1. Gebruik OpenSSL om het CA-certificaat (of certificaatketen) van de domeinserver op te halen:
# openssl s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts
Het CA-certificaat is bijgevoegd in -----BEGIN CERTIFICATE ----- en -----END CERTIFICATE-----. Als een ketencertificaat wordt gebruikt, worden meerdere certificaten gebruikt, waarbij de eerste certificaten die worden vermeld tussenliggende certificaten zijn en het laatste certificaat dat wordt vermeld de basiscertificeringsinstantie is.
  • Enkel certificaat: Kopieer het certificaat inclusief het -----BEGIN CERTIFICATE----- en -----END CERTIFICATE----- en plaats het in een bestand met de naam RCAcert.crt op een locatie naar keuze.
  • Certificaatketen: Kopieer elk certificaat (inclusief de velden -----BEGIN CERTIFICATE----- en -----END CERTIFICATE-----) en plaats ze in afzonderlijke bestanden. Bijvoorbeeld ICA3cert.crt, ICA2cert.crt, ICA1cert.crt en als laatste RCAcert.crt.
  1. U kunt het proces vergemakkelijken door de volgende opdrachtregelvariabelen in te stellen:
# java_bin=<path to java bin dir>
*NOTE* For NetWorker Runtime Environment (NRE) this is /opt/nre/java/latest/bin. If you are using Oracle licensed Java Runtime Environment, specify the path to your JRE bin directory.
# RCAcert=<path to RCAcer.crt>
# ICA1cert=<path to ICA2cert.crt>
*NOTE* Only required if you are using a certificate chain, repeat this for each intermediate cert ICA2cert.crt, ICA3.crt and so forth.
Voorbeeld: 
[root@nsr certs]# java_bin=/opt/nre/java/latest/bin
[root@nsr certs]# RCAcert=/root/certs/RCAcert.crt
[root@nsr certs]#
  1. Importeer de certificaten:
Een. Wanneer u een certificaatketen gebruikt, importeert u elk certificaat in de keten die leidt tot het basiscertificaat (RCA).  Als slechts één basiscertificeringsinstantie wordt gebruikt, importeert u de basiscertificeringsinstantie. 
# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA3cert -storepass changeit
# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA2cert -storepass changeit
# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA1cert -storepass changeit
# $java_bin/keytool -import -alias RCA -keystore $java_bin/../lib/security/cacerts -file $RCAcert -storepass changeit
U wordt gevraagd om het certificaat te accepteren in de cacerts keystore. 

B. Als u wordt gewaarschuwd voor een dubbele alias (vorige, verlopen certificaat), verwijdert u het bestaande certificaat met dezelfde alias: 
# $java_bin/keytool -delete -alias ALIAS_NAME -keystore $java_bin/../lib/security/cacerts -storepass changeit
Herhaal stap A nadat het oude certificaat is verwijderd.
  1. Start de NetWorker-serverservices opnieuw. Bij het opnieuw opstarten van services wordt het cacerts-bestand opnieuw geladen tijdens het opstarten van authc. Als NetWorker-services niet opnieuw worden gestart na het importeren van de certificaten, mislukt het proces voor het configureren van de externe instantie in NetWorker met een certificaatgerelateerde fout.
# nsr_shutdown
# systemctl start networker


Windows NetWorker-servers:


OPMERKING: Gebruik OpenSSL om verbinding te maken met de domeinserver en het CA-certificaat (of de keten) te verkrijgen die nodig is voor AD via SSL. Windows-servers bevatten standaard geen OpenSSL; Het kan echter worden geïnstalleerd. In plaats van OpenSSL te gebruiken, kan de domeinbeheerder ook het CA-certificaat leveren (en de keten indien gebruikt). Ze moeten worden geleverd in PEM-indeling. Het gebruik van OpenSSL rechtstreeks van de authenticatieserver heeft de voorkeursmethode. 
  1. Open een opdrachtprompt voor beheerders.
  2. Stel de volgende variabelen in:
set openssl="<path to openssl.exe file>"
*NOTE* This path can differ depending on how OpenSSL was installed.
set java_bin="<path to java bin directory>"
*NOTE* For NetWorker Runtime Environment (NRE) the default path is "C:\Program Files\NRE\java\jre#.#.#_###\bin". This path includes the NRE version specific Java version and build. When using Oracle licensed Java Runtime Environment, specify the path to the JRE bin directory.
Voorbeeld: 
C:\Users\administrator.AMER>set openssl="C:\Program Files\OpenSSL-Win64\bin\openssl.exe"
C:\Users\administrator.AMER>set java_bin="C:\Program Files\NRE\java\jre1.8.0_431\bin"
C:\Users\administrator.AMER>
  1. Gebruik OpenSSL om het CA-certificaat (of certificaatketen) van de domeinserver op te halen:
%openssl% s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts
Het CA-certificaat is bijgevoegd in -----BEGIN CERTIFICATE ----- en -----END CERTIFICATE-----. Als een ketencertificaat wordt gebruikt, worden meerdere certificaten weergegeven: het eerste zijn tussenliggende certificaten en het laatste is de hoofdcertificeringsinstantie. 
  • Enkel certificaat: Kopieer het certificaat inclusief het -----BEGIN CERTIFICATE----- en -----END CERTIFICATE----- en plaats het in een bestand met de naam RCAcert.crt op een locatie naar keuze. 
  • Certificaatketen: Kopieer elk certificaat (inclusief de velden -----BEGIN CERTIFICATE----- en -----END CERTIFICATE-----) en plaats ze in afzonderlijke bestanden. Bijvoorbeeld ICA3cert.crt, ICA2cert.crt, ICA1cert.crt en als laatste RCAcert.crt. 
  1. Stel opdrachtregelvariabelen in voor de basiscertificeringsinstantie en eventuele tussenliggende certificaten (indien gebruikt):
set RCAcert="<path to RCAcert.crt>"
set ICA1cert="<path to ICA1cert.crt>"
Voorbeeld: 
C:\Users\administrator.AMER>set RCAcert="C:\tmp\certs\RCAcert.crt"
  1. Importeer de certificaten:
Een. Wanneer u een certificaatketen gebruikt, importeert u elk certificaat in de keten voorafgaand aan de RCA. Als slechts één basiscertificeringsinstantie wordt gebruikt, importeert u de basiscertificeringsinstantie. 
%java_bin%\keytool -import -alias ICA3 -keystore %java_bin%\..\lib\security\cacerts -file %ICA3cert% -storepass changeit
%java_bin%\keytool -import -alias ICA2 -keystore %java_bin%\..\lib\security\cacerts -file %ICA2cert% -storepass changeit
%java_bin%\keytool -import -alias ICA1 -keystore %java_bin%\..\lib\security\cacerts -file %ICA1cert% -storepass changeit
%java_bin%\keytool -import -alias RCA -keystore %java_bin%\..\lib\security\cacerts -file %RCAcert% -storepass changeit
U wordt gevraagd om het certificaat te accepteren in de cacerts keystore. 
B. Als u wordt gewaarschuwd voor een dubbele alias (vorige, verlopen certificaat), verwijdert u het bestaande certificaat met dezelfde alias: 
%java_bin%\keytool -delete -alias ALIAS_NAME -keystore %java_bin%\..\lib\security\cacerts -storepass changeit
Herhaal stap A nadat het oude certificaat is verwijderd.
  1. Start de NetWorker-serverservices opnieuw. Bij het opnieuw opstarten van services wordt het cacerts-bestand opnieuw geladen tijdens het opstarten van authc. Als NetWorker-services niet opnieuw worden gestart na het importeren van de certificaten, mislukt het proces voor het configureren van de externe instantie in NetWorker met een certificaatgerelateerde fout.
net stop nsrd
net start nsrd


Externe autoriteitsbron 'AD over SSL' maken vanuit NWUI.

  1. Open vanuit een webbrowser de NWUI-server: https:// nwui-server-name:9090/nwui
  2. Meld u aan met het NetWorker Administrator-account.
  3. Vouw in het menu Verificatieserver uit en klik op Externe autoriteiten.
  4. Klik bij Externe instanties op Toevoegen+.
  5. Vul de configuratievelden in:
Basisconfiguratie
 
Veld
Waarde
Naam
Een beschrijvende naam, zonder spaties voor de LDAP- of AD-configuratie. Het maximaal aantal tekens is 256. Specificeer alleen ASCII-tekens in de configuratienaam.
Servertype
AD via SSL
Naam providerserver 
Geeft de hostnaam of het IP-adres van de Active Directory Server op
Poort
Poort 636 wordt gebruikt voor SSL. Dit veld wordt automatisch ingevuld als "AD over SSL" is geselecteerd.
Huurder
Selecteer de tenant indien geconfigureerd. Als er geen tenant is geconfigureerd of vereist, kunt u de standaardoptie gebruiken. 
Voor het configureren van een tenant is de volgende aanmeldingssyntaxis "tenant_name\domain_name\user_name" vereist. Als de standaardtenant wordt gebruikt (veel), is de aanmeldingssyntaxis 'domain_name\user_name'. 

Tenant: organisatiecontainer op het hoogste niveau voor de NetWorker Authentication Service. Elke externe verificatieautoriteit in de lokale database wordt toegewezen aan een tenant. Een Tenant kan één of meer Domeinen bevatten, maar de domeinnamen moeten uniek zijn binnen de Tenant. NetWorker Authentication Service maakt één geïntegreerde tenantnaam Default, die het Default-domein bevat. Door meerdere tenants te maken, kunt u complexe configuraties beheren. Serviceproviders met beperkte datazones (RDZ) kunnen bijvoorbeeld meerdere tenants maken om geïsoleerde databeschermingsservices te bieden aan tenantgebruikers.
Domein
De volledige domeinnaam inclusief alle DC-waarden; Bijvoorbeeld: example.com
Gebruiker-DN
Geeft de volledige DN (Distinguished Name) op van een gebruikersaccount dat volledige leestoegang heeft tot de AD-directory
DN-wachtwoord voor gebruiker
Geeft het wachtwoord op van het gebruikersaccount dat wordt gebruikt om toegang te krijgen tot AD Direct en deze te lezen
 
Geavanceerde configuratie
 
Groepsobjectklasse
Vereist. De objectklasse die groepen in de LDAP- of AD-hiërarchie identificeert.
● Gebruik voor LDAP groupOfUniqueNames of groupOfNames
● Gebruik groep voor AD
Groepszoekpad (optioneel)
Een DN die het zoekpad specificeert dat de verificatieservice moet gebruiken bij het zoeken naar groepen in de LDAP- of AD-hiërarchie.
Kenmerk groepsnaam
Het attribuut dat de groepsnaam identificeert; Bijvoorbeeld, cn.
Attribuut groepslid
Het groepslidmaatschap van de gebruiker binnen een groep:
● Voor LDAP:
○ Wanneer de Group Object Class groupOfNames is, is het attribuut gewoonlijk lid.
○ Wanneer de Group Object Class groupOfUniqueNames is, is het attribuut gewoonlijk uniquemember.
● Voor AD is de waarde algemeen lid.
Gebruikersobjectklasse
De objectklasse die de gebruikers in de LDAP- of AD-hiërarchie identificeert. Bijvoorbeeld persoon.
Zoekpad voor gebruiker (optioneel)
De DN die het zoekpad aangeeft dat de verificatieservice moet gebruiken bij het zoeken naar gebruikers in de LDAP- of AD-hiërarchie. Geef een zoekpad op dat relatief is ten opzichte van de basis-DN die u hebt opgegeven in de optie configserver-address . Geef bijvoorbeeld voor AD cn=users op.
Kenmerk gebruikers-ID
De gebruikers-ID die is gekoppeld aan het gebruikersobject in de LDAP- of AD-hiërarchie.
Voor LDAP wordt dit kenmerk gewoonlijk gebruikt.
Voor AD is dit kenmerk gewoonlijk sAMAccountName.

OPMERKING: Neem contact op met uw AD/LDAP-beheerder om te bevestigen welke AD/LDAP-specifieke velden nodig zijn voor uw omgeving.
 

 

  1. Als u klaar bent, klikt u op opslaan.
  2. Er zou nu een overzicht van de geconfigureerde externe autoriteitsbron moeten verschijnen:

Configuratievoorbeeld

  1. Bewerk in het menu Servergebruikersgroepen> de gebruikersgroepen met de rechten die u wilt delegeren aan AD/LDAP-groepen of gebruikers. Als u volledige beheerdersrechten wilt toekennen, geeft u de AD-groeps-/gebruikers-ID op in het veld Externe rollen van de rollen Applicatiebeheerders en Beveiligingsbeheerders .

Bijvoorbeeld: CN=NetWorker_Admins,DC=amer,DC=lan

Applicatiebeheerders bewerken

Dit kan ook worden gedaan vanaf de opdrachtregel:

nsraddadmin -e "Distinguished_Name"
Voorbeeld: 
nsr:~ # nsraddadmin -e "CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan"
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Security Administrators' user group.
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Application Administrators' user group.

 

  1. Zodra de AD-groep of gebruikers-DN's zijn opgegeven, klikt u op Opslaan. 
  2. Meld u af bij de NWUI-interface en meld u opnieuw aan met het AD-account:

Aanmelden bij de NWUI-interface

  1. Het gebruikerspictogram in de rechterbovenhoek geeft aan voor welk gebruikersaccount is ingelogd.

Additional Information

Bevestiging van de AUTHC-server die wordt gebruikt voor NetWorker-authenticatie
Het bestand gstd.conf van de NetWorker Management Console (NMC)-server laat zien welke host wordt gebruikt om aanmeldingsverzoeken te verwerken:

Linux: /opt/lgtonmc/etc/gstd.conf
Windows: C:\Program Files\EMC NetWorker\Management\GST\etc\gstd.conf

Controleer het bestand op de authsvc_hostname waarde. De authsvc_hostname is de authc (authenticatie) server.

Het lidmaatschap van een AD-groep controleren en de DN-waarden (Distinguished Name) ophalen die nodig zijn voor NetWorker-machtigingen:
U kunt gebruik maken van de authcmgmt opdracht op uw NetWorker-server om te bevestigen dat de AD/LDAP-groepen/gebruikers zichtbaar zijn:

authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-users -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups-for-user -D query-tenant=tenant_name -D query-domain=domain_name -D user-name=ad_username
Voorbeeld:
[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-users -D query-tenant=default -D query-domain=amer.lan
The query returns 47 records.
User Name            Full Dn Name
Administrator        CN=Administrator,CN=Users,dc=amer,dc=lan
...
bkupadmin            CN=Backup Administrator,CN=Users,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups -D query-tenant=default -D query-domain=amer.lan
The query returns 72 records.
Group Name                              Full Dn Name
Administrators                          CN=Administrators,CN=Builtin,dc=amer,dc=lan
...
NetWorker_Admins                        CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=amer.lan -D user-name=bkupadmin
The query returns 1 records.
Group Name       Full Dn Name
NetWorker_Admins CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

OPMERKING: Op sommige systemen is de authc Opdrachten kunnen mislukken met de fout "Onjuist wachtwoord", zelfs wanneer het juiste wachtwoord is opgegeven. Dit komt doordat het wachtwoord is opgegeven als zichtbare tekst met de -p . Als u dit tegenkomt, verwijdert u -p password van de commando's. U wordt gevraagd om het verborgen wachtwoord in te voeren nadat u de opdracht hebt uitgevoerd.


Andere relevante artikelen:

Affected Products

NetWorker

Products

NetWorker Family, NetWorker Series
Article Properties
Article Number: 000203005
Article Type: How To
Last Modified: 09 Sept 2025
Version:  10
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.